CVSS Meta Temp Score	Текущая цена эксплуатации (≈)	Балл интереса CTI
5.7	$0-$5k	0.00

В проблемные обнаружена уязвимость, классифицированная как Tripwire Enterprise 7.0/8.2. Затронута неизвестная функция файла ajaxRequest/methodCall.do. Определение CWE для уязвимости следующее CWE-79. Консультацию можно прочитать на сайте zerodaylab.com.

Выявление этой уязвимости является CVE-2013-5005. Назначение CVE произошло 29.07.2013. Атака может быть инициирована удаленно. Имеются технические подробности. Популярность этой уязвимости ниже среднего. Более того, существует эксплойт. Эксплойт был раскрыт общественности и может быть использован. Текущая цена за эксплойт может составлять около USD $0-$5k в настоящее время. Согласно MITRE ATT&CK, техника атаки, используемая в данной проблеме, имеет значение T1059.007.

Объявляется proof-of-concept. Эксплойт доступен по адресу zerodaylab.com. Мы ожидаем, что 0-день стоил приблизительно $0-$5k. Консультация указывает:

Injecting in the afore-mentioned parameters will throw an exception (along with an HTTP/403 Forbidden error message from the server). The output of the exception is not sanitised properly and the javascript code is executed. (…) The original requests used the POST method, however it was possible to convert the requests to use the GET method, to enable easier demonstration and delivery of the attack.

Обновление до версии 8.3 способно решить эту проблему. Обновленную версию можно скачать по адресу tripwire.com. Рекомендуется обновить затронутый компонент.

Эта уязвимость также документирована в других базах данных уязвимостей: SecurityFocus (BID 65242) и X-Force (90950).

ПродуктИнформация

Поставщик

• Tripwire

Имя

• Enterprise

Версия

• 7.0
• 8.2

CPE 2.3Информация

• 🔍
• 🔍
• 🔍

CPE 2.2Информация

• 🔍
• 🔍
• 🔍

CVSSv4Информация

VulDB CVSS-B Score: 🔍
VulDB CVSS-BT Score: 🔍
VulDB Вектор: 🔍
VulDB Надежность: 🔍

CVSSv3Информация

VulDB Meta Base Score: 6.3
VulDB Meta Temp Score: 5.7

VulDB Базовый балл: 6.3
VulDB Временная оценка: 5.7
VulDB Вектор: 🔍
VulDB Надежность: 🔍

CVSSv2Информация

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

Вектор	Сложность	Аутентификация	Конфиденциальность	Целостность	Доступность
разблокировать	разблокировать	разблокировать	разблокировать	разблокировать	разблокировать
разблокировать	разблокировать	разблокировать	разблокировать	разблокировать	разблокировать
разблокировать	разблокировать	разблокировать	разблокировать	разблокировать	разблокировать

VulDB Базовый балл: 🔍
VulDB Временная оценка: 🔍
VulDB Надежность: 🔍

NVD Базовый балл: 🔍

ЭксплуатацияИнформация

Имя: Reflected
Класс: межсайтовый скриптинг / Reflected
CWE: CWE-79 / CWE-74 / CWE-707
CAPEC: 🔍
ATT&CK: 🔍

Локальный: Нет
Удаленный: Да

Доступность: 🔍
Доступ: публичный
Статус: Proof-of-Concept
Автор: Roger Sels
Язык программирования: 🔍
Скачать: 🔍

EPSS Score: 🔍
EPSS Percentile: 🔍

Прогнозирование цены: 🔍
Оценка текущей цены: 🔍

0-Day	разблокировать	разблокировать	разблокировать	разблокировать
Сегодня	разблокировать	разблокировать	разблокировать	разблокировать

Разведка угрозИнформация

Интерес: 🔍
Активные акторы: 🔍
Активные группы APT: 🔍

КонтрмерыИнформация

Рекомендуется: Обновление
Статус: 🔍

Время реакции: 🔍
0-дневное время: 🔍
Время эксплойта: 🔍
Время задержки эксплойта: 🔍

Обновление: Enterprise 8.3

Временная шкалаИнформация

29.07.2013 🔍
12.09.2013 +45 дни 🔍
12.09.2013 +0 дни 🔍
12.09.2013 +0 дни 🔍
29.01.2014 +138 дни 🔍
29.01.2014 +0 дни 🔍
31.01.2014 +2 дни 🔍
08.06.2021 +2685 дни 🔍

ИсточникиИнформация

Консультация: 2013-5005
Исследователь: Roger Sels
Организация: ZeroDayLab
Статус: Подтвержденный

CVE: CVE-2013-5005 (🔍)
X-Force: 90950 - Tripwire Enterprise methodCall.do cross-site scripting
SecurityFocus: 65242
OSVDB: 102682

scip Labs: https://www.scip.ch/en/?labs.20161013

ВходИнформация

Создано: 31.01.2014 16:07
Обновлено: 08.06.2021 22:10
Изменения: 31.01.2014 16:07 (64), 17.05.2018 08:40 (6), 08.06.2021 22:10 (4)
Завершить: 🔍

Обсуждение

Might our Artificial Intelligence support you?

Check our Alexa App!